VLANによるセキュリティ効果｜情報処理安全確保支援士 平成31年 春期午前Ⅱ試験 問12
出典：平成31年春期 午前Ⅱ 問12
分野：セキュリティ ／ 情報セキュリティ対策
VLAN機能をもった1台のレイヤー3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けると，スイッチのポートをセグメントを分けない場合に比べて，どのようなセキュリティ上の効果が得られるか。
- ア：スイッチが，PCから送出されるICMPパケットを全て遮断するので，PC間のマルウェア感染のリスクを低減できる。
- イ：スイッチが，PCからのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。
- ウ：スイッチが，PCのMACアドレスから接続可否を判別するので，PCの不正接続のリスクを低減できる。
- エ：スイッチが，物理ポートごとに，決まったIPアドレスをもつPCの接続だけを許可するので，PCの不正接続のリスクを低減できる。
TSUNAGARU-ADVICE
まず押さえたいこと
VLANは、スイッチのポートを論理的にグループ化し、1台のスイッチ上でも複数のネットワークセグメントに分ける機能です。セグメントを分けることで、ブロードキャストパケットの到達範囲を制限でき、不要な通信や情報の広がりを抑えられる点がセキュリティ上の効果です。
迷ったときの判断軸
VLANにしただけでICMPパケットを全て遮断するわけではありません。また、MACアドレスで接続可否を判定するものはMACアドレスフィルタリング、物理ポートごとに特定IPアドレスだけを許可するものはポート単位のアクセス制御に近い説明です。VLANは、ブロードキャストドメインを分割する仕組みと判断しましょう。
科目Bにつなげるために
科目Bでは、部門別VLAN・サーバ用VLAN・管理用VLAN・FWやレイヤー3スイッチによるVLAN間通信制御が問われることがあります。VLANは分けて終わりではなく、どのセグメント間の通信を許可し、どこを遮断するかまで設計する視点を持ちましょう。
VLANは、同じスイッチに接続されている端末を、物理的な配線とは関係なく論理的にグループ分けする仕組みです。
通常、同じスイッチにつながっている端末同士は同じネットワークに属します。しかしVLANを使うと、同じスイッチにつながっていても、部署ごと、用途ごと、端末ごとに別のネットワークとして分けられます。
代表的で分かりやすいのが、ポートベースVLANです。これは、スイッチのポートごとにVLAN IDを設定し、同じVLAN IDのポート同士だけを同じグループとして扱う方式です。
たとえば、1台のスイッチに複数のPCが接続されていても、ポート1とポート2をVLAN 10、ポート3とポート4をVLAN 20に設定すれば、VLAN 10とVLAN 20は別々のネットワークとして扱われます。
VLANを使うと、ブロードキャストパケットの届く範囲も同じVLAN内に限定できます。これにより、不要な通信が他のグループへ広がるのを防ぎ、ネットワークの負荷や情報漏えいリスクを減らせます。
つまりVLANは、「1台のスイッチを使いながら、内部的には複数の別ネットワークに分ける仕組み」と考えると分かりやすいです。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：スイッチが，PCから送出されるICMPパケットを全て遮断するので，PC間のマルウェア感染のリスクを低減できる。
⇒VLANを設定しただけでは、ICMPパケットが全て遮断されるわけではありません。異なるVLAN間の通信を制限するには、アクセス制御リストなどを別途設定する必要があります。また、マルウェア感染はICMPだけで発生するものではありません。
ウ：スイッチが，PCのMACアドレスから接続可否を判別するので，PCの不正接続のリスクを低減できる。
⇒ポートセキュリティなどの説明です。VLANはポートを論理的なグループに分ける機能であり、MACアドレスを基に端末の接続可否を自動的に判定する機能ではありません。
エ：スイッチが，物理ポートごとに，決まったIPアドレスをもつPCの接続だけを許可するので，PCの不正接続のリスクを低減できる。
⇒通常のVLAN機能だけでは、物理ポートごとに特定のIPアドレスをもつPCだけを許可することはできません。このような制御には、IPアドレスやMACアドレスを検証する追加のセキュリティ機能が必要です。